Cybersecurity researchers have disclosed details of a ClickFix delivery platform called ROMULUS that's being used to distribute malware such as Legion Loader.
Siber güvenlik araştırmacıları, Legion Loader gibi kötü amaçlı yazılımları dağıtmak için kullanılan ROMULUS adlı ClickFix dağıtım platformunun ayrıntılarını açıkladı.
Forescout Research - Vedere Labs'a göre ROMULUS, kullanıcıları sahte iniş sayfalarındaki ClickFix tarzı tuzaklarla aldatıp kötü komutları kendilerinin çalıştırmasına ve böylece makinelerini enfekte etmesine yol açan bir kötü amaçlı yazılım dağıtım hizmetine benziyor.
Güvenlik araştırmacısı Sai Molige analizinde, "ROMULUS özel olarak işletilen bir panel, ticari bir siber suçlu dağıtım hizmeti, bir bağlı kuruluş çerçevesi ya da operatörler arasında kopyalanmış bir yazılım olabilir" dedi.
Siber güvenlik şirketi, ROMULUS'u çalıştıran altı IP adresi tespit ettiğini söyledi -
Özellikle "96.62.224[.]81" IP adresinin, mağdurları ClickFix tuzağını sunan sahte bir URL'ye yönlendiren kötü amaçlı ChatGPT Custom GPT'leri kullanan başka bir kampanyayla bağlantılı olarak bir ClickFix betiği ve bir MSI yükleyici dosyası barındırdığı belirlendi.
Forescout'un kendi analizi, aynı kötü amaçlı yazılımın ROMULUS kod adlı bir paneli de barındıran başka bir sunucu olan 86.109.75[.]7 üzerinden de dağıtıldığını ortaya çıkardı. Ayrıca ClickFix aracılığıyla tetiklenen ayrı bir zincir, PowerShell betiğini çalıştırarak Legion Loader'ı dağıttı; Legion Loader Satacom downloader, CurlyGate ve RobotDropper olarak da bilinen bir kötü amaçlı yazılım yükleyicisi.
Yazının hazırlandığı sırada ROMULUS platformunun arkasında kimlerin olduğu bilinmiyor. Ancak platformun, Silver Fox (TA4922) ile ilişkilendirilen ve vergiyle ilgili gerekçelerle ValleyRAT (Winos 4.0 olarak da bilinir), DcRAT ve muhtemelen Venom RAT gibi uzaktan erişim Truva atlarını DLL sideloading teknikleriyle dağıtmak için tekrar tekrar kullanan Çin'e yakın bir tehdit aktörü olan RomulusLoader kötü amaçlı yazılım ailesiyle hiçbir örtüşmesi yok.
ROMULUS platformu, bir sonraki alınacak yükü belirleyen bir PowerShell hazırlık betiği indirmek üzere tasarlanmış iki uç nokta açığa çıkarıyor: bir kötü amaçlı yazılım yükleyicisi taşıyan trojanlaştırılmış bir MSI yükleyici ya da Legion Loader içeren şifrelenmiş bir arşiv. Yükleyici, ek yükleri almak ve çalıştırmak için uzaktan bir sunucuyla iletişim kuruyor.
Bulgular, ClickFix'in sosyal mühendislik tekniğinin ötesine geçerek kötü amaçlı yazılım için son derece etkili bir giriş noktası haline geldiğini gösteriyor. Tehdidi hafifletmek için şüpheli PowerShell komutları ve DLL sideloading olaylarının avlanması esas.
